WebAuthn es la API que un sitio web invoca en el navegador; CTAP es la forma en que el navegador o el sistema operativo se comunica con un autenticador externo por USB, NFC o Bluetooth, o con un teléfono mediante el transporte híbrido. Los autenticadores de plataforma (Windows Hello, Touch ID, Android) se usan mediante las API del sistema operativo y no necesitan intercambiar mensajes CTAP.
CTAP 2.2 se publicó en julio de 2025 y CTAP 2.3 pasó a ser estándar propuesto en febrero de 2026; la certificación FIDO2 se emite ahora conforme a CTAP 2.3. CTAP1 es el antiguo protocolo U2F, que las llaves de seguridad FIDO2 siguen admitiendo por compatibilidad con versiones anteriores. Los desarrolladores de servidores rara vez tratan con CTAP directamente: implementan la verificación de WebAuthn del lado de la relying party y tratan igual a todos los autenticadores.